CVE-2025-61666
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 70 - wyżej niż 70% wszystkich znanych CVE
Streszczenie
Traccar w wersji 6.1-6.8.1 (instalacje domyślne) oraz 5.8-6.0 (instalacje niedomyślne z włączonym web.override) jest podatny na nieuwierzytelnione ataki lokalnego włączenia plików (LFI), które mogą prowadzić do wycieku haseł lub dowolnych plików z systemu plików, w tym pliku konfiguracyjnego Traccar. Podatny kod usunięto w wersji 6.9.0.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać wrażliwe pliki, takie jak konfiguracja z poświadczeniami, co może prowadzić do dalszej eskalacji uprawnień i przejęcia systemu.
Rekomendacja
Zaktualizuj Traccar do wersji 6.9.0 lub nowszej. W wersjach 5.8-6.0 usuń lub zabezpiecz ustawienie web.override.
Inne podatności w Traccar
Zobacz wszystkie- CVE-2026-108738Średnie
Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.
- CVE-2026-108737Średnie
Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.
- CVE-2026-52852Średnie
Traccar to otwarty system śledzenia GPS. Przed wersją 6.14.0 uwierzytelniony użytkownik z uprawnieniami do zarządzania grupami i żądania raportów może utworzyć cykliczną hierarchię grup-rodziców i zażądać raportu trips lub stops dla urządzenia w tej hierarchii. GroupResource pozwala na cykl rodzica, a AttributeUtil.lookup podąża za rodzicami grup bez wykrywania cykli, zbioru odwiedzonych ani limitu głębokości, co powoduje, że wyszukiwanie nigdy się nie kończy, przypina wątek Jetty przy wysokim użyciu CPU i może wyczerpać pulę wątków web/API przy powtarzanych żądaniach.
- CVE-2026-52851Wysokie
W Traccar przed wersją 6.14.0 uwierzytelniony użytkownik bez uprawnień tylko do odczytu może wysłać żądanie DELETE /api/permissions z dodatkowym kluczem JSON kontrolowanym przez atakującego. Walidacja sprawdza tylko dwa pierwsze klucze, ale removePermission() konkatenuje wszystkie klucze mapy do klauzuli WHERE SQL jako identyfikatory kolumn, co pozwala na wstrzyknięcie SQL i wyodrębnienie dowolnych danych z bazy, w tym adresu e-mail administratora, hashy haseł i soli. Podatność została naprawiona w wersji 6.14.0.
- CVE-2026-44314Średnie
Traccar przed wersją 6.13.0 zawiera podatność w DeviceResource.uploadImage, która autoryzuje urządzenie tylko przez Condition.Permission, ale nie sprawdza readonly/deviceReadonly dla nie-adminów. Nieautoryzowany użytkownik może zastąpić obraz urządzenia w katalogu mediów serwera.
Oryginalny opis (angielski, źródło NVD)
Traccar is an open source GPS tracking system. Default installs of Traccar on Windows between versions 6.1- 6.8.1 and non default installs between versions 5.8 - 6.0 are vulnerable to unauthenticated local file inclusion attacks which can lead to leakage of passwords or any file on the file system including the Traccar configuration file. Versions 5.8 - 6.0 are only vulnerable if <entry key='web.override'>./override</entry> is set in the configuration file. Versions 6.1 - 6.8.1 are vulnerable by default as the web override is enabled by default. The vulnerable code is removed in version 6.9.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS